Zakázat zaměstnancům ChatGPT nefunguje. Co dělat se shadow AI ve firmě

Ve většině případů plošný zákaz používání AI ve firmách její používání vůbec nezastaví. V podstatě ho jen přesune mimo dohled IT. Podle letošního průzkumu PagerDuty dvě třetiny administrativních zaměstnanců AI v práci používalo, a to i přesto, že věděli o firemním zákazu. Takové chování vede k jevu, kterému se říká shadow AI: k nekontrolovanému posílání firemních dat do veřejných jazykových modelů na soukromých účtech zaměstnanců. Firmy by přitom mohly zvolit jiný postup.

Proč plošný zákaz AI nefunguje

Zakázat ChatGPT zaměstnancům většinou nefunguje právě proto, že ji k práci často opravdu potřebují. Když ji nemají schválenou firmou, najdou si ji jinde, například na soukromém e-mailu, na osobním účtu ChatGPT nebo z vlastního mobilu mimo firemní síť. Firma tím ztrácí přehled, jaká data se ven posílají a kam se dál ukládají.

Používání AI i přes zákaz nevadí tolik jako to, že mimo IT nikdo neví, jaká data do ní vlastně putují. Podle Cost of a Data Breach Report 2025 od IBM zaplatily firmy s vysokou mírou shadow AI za únik dat v průměru o 670 000 dolarů víc, v přepočtu zhruba o 14 milionů korun. Shadow AI se pak podílela na pětině všech zaznamenaných úniků. 63 % z těchto firem přitom nemělo nastavenou žádnou AI politiku nebo ji v té době teprve vytvářelo.

Zákaz bez náhrady tak vede k tomu, že se používání přesune na soukromé účty mimo dohled IT. Případný únik dat je pak dražší a hůř zvladatelný, než kdyby firma měla nasazení AI pod kontrolou.

Jak dostat shadow AI pod kontrolu

Zvládnout to jde v pěti krocích: zaměstnanci dostanou nástroj, který budou chtít opravdu používat a vy budete mít přehled, jestli to funguje.

Zmapujte reálné použití

Krátký anonymní dotazník nebo pár rozhovorů s vedoucími může ukázat, jaké nástroje lidé používají a jestli do nich vkládají například smlouvy, ceníky nebo osobní údaje zákazníků. Díky tomu zjistíte, jak často vaši pracovníci AI používají a jaká data s její pomocí zpracovávají.

Nabídněte zaměstnancům schválený nástroj

Pokud zaměstnancům nenabídnete schválenou alternativu, přesunou používání AI jinam. Firma by proto měla vybrat jeden až dva nástroje a ověřit, kde zpracovávají data a jestli neslouží k trénování modelu. Pak je stačí zpřístupnit lidem, kteří je k práci potřebují. Ať už zvolíte placenou verzi ChatGPT, Claude nebo Copilot, jeden takový nástroj vám ušetří spoustu problémů se shadow AI. Jak vybrat nástroj vhodný pro vaši firmu, popisuji v článku o tom, jak zpracovat data v AI, aby neopustila EU.

Napište AI politiku

Pro firmu do 250 lidí vám stačí sepsat jednu stranu, kde pokryjete schválené nástroje, zakázaná sdílená data a postup, jak nahlásit podezřelé použití. Mimo jiné tam určíte, kdo o novém nástroji rozhoduje a co se stane při porušení této AI politiky. Víc na jednu stranu nepotřebujete: delší dokument zaměstnanci pravděpodobně číst nebudou nebo si z něj tolik neodnesou.

Co patří a co nepatří do AI politiky

AI politika pro firmu do 250 lidí by měla obsahovat seznam schválených nástrojů, výčet zakázaných dat (například osobní údaje zákazníků, smlouvy, mzdy nebo obchodní tajemství), postup pro schválení nového nástroje i postup pro řešení incidentu.

V politice by se naopak neměly objevit fráze typu “používejte AI zodpovědně”, seznamy zakázaných nástrojů AI bez nabízené alternativy ani desítky stran právnického textu.

Proškolte zaměstnance

Najměte si lektora nebo požádejte seniorního zaměstnance, který má s používáním AI zkušenosti, aby na reálných příkladech firmy ukázal, jak ji používat. Ten by měl zmínit, co smí a nesmí projít promptem, jak poznat citlivá data a co dělat, když si zaměstnanec není jistý, jestli daný text do AI vůbec vložit.

Měřte, jestli to funguje

Po třech měsících zjistěte, kolik zaměstnanců na schválený nástroj přešlo, jestli se objevilo porušení AI politiky a zda používají i další nástroje. Pokud zavedení nástroje nevyhodnotíte, nepoznáte, jestli politika něco změnila nebo ne.

Proč se k pravidlům vracet

Firmy by se k pravidlům pro používání AI měly soustavně vracet a školení opakovat, jinak se pravidla po pár měsících přestanou dodržovat. AI se navíc rychle vyvíjí, a je proto potřeba zaměstnance průběžně informovat o nových rizicích a bezpečnostních pravidlech.

Zákaz AI tak jejímu používání nezamezí. Lidé ji dnes už běžně k práci používají, někteří ji přímo potřebují a cestu si k ní najdou i bez svolení. Proto by si firma měla vybrat schválený AI nástroj k používání, sepsat AI politiku a měřit, jak to funguje. Čím dřív to firma udělá, tím míň dat mimo její kontrolu odejde.